istio-csr 아키텍처

istio-csr 아키텍처 An architecture diagram generated by Archify. 애플리케이션 · 앱 컨테이너 · 워크로드 Pod 애플리케이션 앱 컨테이너 Envoy Sidecar · 워크로드 프록시 · 워크로드 Pod Envoy Sidecar 워크로드 프록시 istio-csr · gRPC CA 서버 · istio-csr istio-csr gRPC CA 서버 cert-manager Controller · 승인된 요청 처리 · cert-manager cert-manager Controller 승인된 요청 처리 CertificateRequest · cert-manager.io/v1 · cert-manager CertificateRequest cert-manager.io/v1 ClusterIssuer · istio-ca · 발급자 ClusterIssuer istio-ca 외부 PKI · CA / Vault PKI / AWS PCA · 발급자 외부 PKI CA / Vault PKI / AWS PCA SVID 인증서 · spiffe://cluster.local/ns/.../sa/... · Architecture component SVID 인증서 spiffe://cluster.local/ns/.../sa/... istio-agent · CSR · SDS · 워크로드 Pod istio-agent CSR · SDS Peer Envoy · 다른 workload Pod · 원격 workload Peer Envoy 다른 workload Pod 1. CSR · workload identity 2. Kubernetes API 생성 감시 · 조정 3. issuerRef · approval 서명 4. X.509-SVID 5. 인증서 chain 반환 6. gRPC 응답 SDS: key + certificate 로컬 app hop workload 간 mTLS 워크로드 Pod istio-csr cert-manager 발급자 원격 workload Legend 백엔드 서비스 Cloud 보안 구성 요소 외부 시스템

신뢰와 갱신

  • • istio-csr serving root를 별도 mount/pin
  • • CA rollover와 workload 인증서 갱신을 분리

구성 범위

  • • Sidecar 흐름; Ambient 지원은 별도 확인
  • • Private CA external issuer는 자신의 issuerRef group/kind 사용